Η Binance αποκάλυψε πώς hackers κατάφεραν να πραγματοποιήσουν τη μεγαλύτερη κλοπή κρυπτονομισμάτων που έχει καταγραφεί, χρησιμοποιώντας ψεύτικες συνεντεύξεις εργασίας, κακόβουλο λογισμικό και ένα εσωτερικό εργαλείο τεχνητής νοημοσύνης. Η κυβερνοεπίθεση της 29ης Οκτωβρίου 2026 επηρέασε ψηφιακά περιουσιακά στοιχεία αξίας περίπου 6,34 δισ. δολαρίων, με τους δράστες να αποκτούν σταδιακά πρόσβαση σε κρίσιμες υποδομές του μεγαλύτερου ανταλλακτηρίου κρυπτονομισμάτων στον κόσμο.
Η εταιρεία δημοσίευσε στις 3 Νοεμβρίου την πρώτη αναλυτική έκθεση για το περιστατικό, αποκαλύπτοντας ότι οι hackers είχαν ξεκινήσει την προετοιμασία τους τέσσερις μήνες νωρίτερα. Το FBI απέδωσε την επίθεση στη βορειοκορεατική ομάδα TraderTraitor, ενώ η Binance ανακοίνωσε ότι έχει ήδη αναπληρώσει το 98% των επηρεαζόμενων crypto-assets και δεσμεύεται να καλύψει το σύνολο των απωλειών των πελατών της.
Η πρώτη παραβίαση ξεκίνησε από ένα εργαλείο προγραμματισμού
Η αλυσίδα των γεγονότων ξεκίνησε τον Ιούνιο του 2026, όταν ένας μηχανικός της ομάδας Wallet DevOps επιχείρησε να εγκαταστήσει ένα δημοφιλές εργαλείο AI για προγραμματιστές.
Κατά τη διαδικασία αναζήτησης και εγκατάστασης, κατέβασε παραποιημένο λογισμικό Homebrew. Σύμφωνα με πληροφορίες για την έρευνα, η κακόβουλη έκδοση είχε προωθηθεί μέσω παραπλανητικής διαφήμισης σε μηχανή αναζήτησης.
Η ομάδα κυβερνοασφάλειας της Binance εντόπισε την ύποπτη δραστηριότητα, αντικατέστησε τον υπολογιστή του εργαζομένου και άλλαξε τα σχετικά διαπιστευτήρια πρόσβασης.
Ωστόσο, οι επιτιθέμενοι είχαν ήδη συγκεντρώσει πληροφορίες για τον ρόλο του μηχανικού και τους συναδέλφους του που εργάζονταν στις υποδομές διαχείρισης ψηφιακών πορτοφολιών.
Αυτές οι πληροφορίες χρησιμοποιήθηκαν για το επόμενο στάδιο της επιχείρησης.
Οι ψεύτικες συνεντεύξεις που άνοιξαν την πόρτα
Τον Σεπτέμβριο, ένας δεύτερος μηχανικός της Binance δέχθηκε πρόταση εργασίας μέσω πραγματικής πλατφόρμας επαγγελματικής δικτύωσης.
Ο υποτιθέμενος υπεύθυνος προσλήψεων εκπροσωπούσε μια ανύπαρκτη εταιρεία και οργάνωσε διαδοχικές συνεντεύξεις. Αρχικά, ο εργαζόμενος συνομίλησε μέσω βιντεοκλήσης με άτομο που παρουσιαζόταν ως υπεύθυνος ανθρώπινου δυναμικού.
Για να ενισχύσει την αξιοπιστία του, ο συνομιλητής μοιράστηκε λογαριασμό social media με προσωπικές φωτογραφίες και βίντεο.
Ακολούθησε δεύτερη συνέντευξη με πρόσωπο που υποδυόταν τον CEO της εταιρείας. Προς το τέλος, ζητήθηκε από τον μηχανικό να κατεβάσει ένα αποθετήριο κώδικα ως δοκιμαστική εργασία.
Το αρχείο περιείχε malware που ενεργοποιήθηκε κατά την εγκατάσταση. Ο κακόβουλος κώδικας αντικατέστησε στοιχείο του εργαλείου pyenv με παραποιημένη έκδοση, δημιουργώντας δυνατότητα απομακρυσμένης εκτέλεσης εντολών.
Η Binance αναφέρει ότι το malware αξιοποιούσε άγνωστη μέχρι τότε τεχνική επίθεσης και κατάφερε να αποφύγει την ανίχνευση από τα εγκατεστημένα εργαλεία ασφαλείας.
Πώς οι hackers εκμεταλλεύτηκαν ένα εσωτερικό AI εργαλείο
Στις 20 Οκτωβρίου, οι εισβολείς χρησιμοποίησαν τον παραβιασμένο υπολογιστή και ένα εσωτερικό εργαλείο AI της Binance για να επεκτείνουν την πρόσβασή τους.
Σύμφωνα με την εταιρεία, απέκτησαν έλεγχο σε δύο επιπλέον συστήματα μηχανικών που εργάζονταν στη διαχείριση των crypto wallets.
Κατά την αναζήτησή τους, εντόπισαν διακριτικό πρόσβασης που επέτρεπε την εγκατάσταση containers σε κρίσιμες υποδομές.
Το περιστατικό αναδεικνύει μια νέα διάσταση της εταιρικής κυβερνοασφάλειας: τα AI εργαλεία που συνδέονται με εσωτερικά συστήματα μπορούν να μετατραπούν σε πρόσθετο σημείο κινδύνου όταν παραβιαστούν οι λογαριασμοί ή οι συσκευές που τα χρησιμοποιούν.
Η Binance δεν έχει δημοσιοποιήσει την ταυτότητα του συγκεκριμένου AI εργαλείου ή όλες τις τεχνικές λεπτομέρειες της κατάχρησής του.
Στις 29 Οκτωβρίου, οι hackers αξιοποίησαν τα κλεμμένα διαπιστευτήρια, εγκατέστησαν κακόβουλο container και ενεργοποίησαν κώδικα που τους επέτρεψε να αποκτήσουν πρόσβαση στην υπηρεσία έγκρισης συναλλαγών.
Πώς μεταφέρθηκαν κρυπτονομίσματα αξίας 6,34 δισ. δολαρίων
Η επίθεση επεκτάθηκε σε πολλά blockchain δίκτυα, μεταξύ των οποίων Bitcoin, Ethereum, Solana, XRP και Optimism.
Μέσα στα πρώτα λεπτά, πέντε hot wallets της Binance μετέφεραν 233,46 εκατομμύρια XRP σε διεύθυνση των επιτιθέμενων. Ακολούθησαν μεταφορές άλλων κρυπτονομισμάτων, μεταξύ των οποίων 18.270 BTC.
Οι hackers αξιοποίησαν επίσης τον μηχανισμό EIP-7702 του Ethereum, ο οποίος επιτρέπει την εκχώρηση συγκεκριμένων δικαιωμάτων εκτέλεσης σε smart contracts.
Με κακόβουλες εξουσιοδοτήσεις μπόρεσαν να συνεχίσουν τις μεταφορές ακόμη και αφού η Binance είχε αναστείλει τις κανονικές αναλήψεις.
Η κατάσταση περιπλέχθηκε επειδή τα hot wallets χρησιμοποιούσαν τεχνολογία Multi-Party Computation (MPC), όπου η διαχείριση των κλειδιών κατανέμεται σε περισσότερα μέρη.
Η ανάκληση των εξουσιοδοτήσεων απαιτούσε ειδική διαδικασία, η οποία ολοκληρώθηκε στις 30 Οκτωβρίου, στις 00:10 UTC.
Τι απέγιναν τα χρήματα και ποια είναι η επόμενη ημέρα
Σύμφωνα με την Binance, περίπου 2,85 δισ. δολάρια από τα επηρεαζόμενα περιουσιακά στοιχεία έχουν δεσμευτεί ή ανακοπεί, με τη συνεργασία εταιρειών blockchain, εκδοτών stablecoins και διωκτικών αρχών.
Η εταιρεία ανακοίνωσε ότι, έως τις 31 Οκτωβρίου, είχε αναπληρώσει το 98% των επηρεαζόμενων crypto-assets με δικούς της πόρους.
Παράλληλα, αντικατέστησε τα παραβιασμένα συστήματα, ανακατασκεύασε το εσωτερικό AI εργαλείο, ακύρωσε διαπιστευτήρια πρόσβασης και ενίσχυσε τους ελέγχους ασφαλείας.
Το FBI θεωρεί υπεύθυνη τη βορειοκορεατική ομάδα TraderTraitor, την οποία συνδέει με προηγούμενες επιχειρήσεις κλοπής κρυπτονομισμάτων. Η Βόρεια Κορέα απορρίπτει την κατηγορία.
Η Binance έχει αναθέσει επιπλέον ανεξάρτητο έλεγχο κυβερνοασφάλειας, ενώ σχεδιάζει νέες επενδύσεις σε AI-based συστήματα εντοπισμού ύποπτης δραστηριότητας.
Η υπόθεση δείχνει πώς μια οργανωμένη κυβερνοεπίθεση μπορεί να συνδυάσει παλιές μεθόδους κοινωνικής μηχανικής με σύγχρονα εργαλεία AI και προηγμένες τεχνικές blockchain, μετατρέποντας μια φαινομενικά συνηθισμένη διαδικασία πρόσληψης σε αφετηρία μιας κλοπής δισεκατομμυρίων.
